Nieautoryzowana transakcja w banku – jak odzyskać pieniądze i złożyć skuteczną reklamację?

Jakich terminów przy nieautoryzowanej transakcji nie należy ze sobą mylić?

Czym różni się uwierzytelnienie transakcji od prawnej autoryzacji płatności?

Uwierzytelnienie dotyczy weryfikacji użytkownika albo ważności użycia określonych danych uwierzytelniających. Autoryzacja oznacza natomiast zgodę płatnika na wykonanie konkretnej transakcji.

Zgodnie z art. 40 ustawy o usługach płatniczych transakcję uważa się za autoryzowaną, jeżeli płatnik wyraził zgodę na jej wykonanie w sposób przewidziany w umowie z dostawcą. Zarejestrowanie prawidłowego hasła, kodu, karty, urządzenia lub innego elementu uwierzytelniającego nie przesądza samo w sobie, że klient wyraził zgodę na daną operację.

Art. 45 ust. 1 nakłada na dostawcę użytkownika ciężar udowodnienia, że transakcja została autoryzowana i prawidłowo zapisana w systemie oraz że nie miała na nią wpływu awaria techniczna ani inna usterka związana z usługą płatniczą.

Co powinien wykazać bank?

• w jaki sposób została wyrażona zgoda na konkretną operację,
• jak przebiegło uwierzytelnienie i jakie dane zostały zapisane w systemie,
• czy system działał prawidłowo i czy nie wystąpiła awaria lub inna usterka,
• jeżeli bank zarzuca rażące niedbalstwo – jakie konkretne zachowanie płatnika ma o nim świadczyć i jakie dowody potwierdzają tę ocenę.

Czego bank nie może traktować jako wystarczającego dowodu?

Pojedynczy element techniczny może być częścią materiału dowodowego, ale sam w sobie nie wystarcza do wykazania autoryzacji ani rażącego niedbalstwa. Dotyczy to w szczególności informacji, że:

• użyto prawidłowego kodu SMS,
• użyto prawidłowego kodu BLIK,
• operację wykonano z urządzenia zarejestrowanego przez klienta,
• użyto prawidłowych danych logowania lub innych danych uwierzytelniających.

Znaczenie ma cały przebieg zdarzenia oraz pozostałe dowody, a nie tylko techniczny fakt użycia instrumentu lub danych uwierzytelniających.

Co należy zrobić natychmiast po wykryciu kradzieży pieniędzy z konta bankowego?

Najpierw przerwij dalszy dostęp oszusta do rachunku. Następnie zgłoś każdą kwestionowaną operację, zażądaj zwrotu pieniędzy i zabezpiecz dowody.

1. Skontaktuj się z bankiem przez oficjalny kanał. Nie korzystaj z numeru telefonu ani linku przesłanego przez osobę, która się z Tobą kontaktowała.
2. Zastrzeż kartę, jeżeli zagrożenie dotyczy karty lub jej danych.
3. Zablokuj dostęp do bankowości elektronicznej lub urządzenie, jeżeli oszust przejął aplikację, sesję albo dane logowania.
4. Zgłoś konkretne transakcje jako nieautoryzowane, jeżeli nie wyraziłeś zgody na ich wykonanie. Podaj daty, kwoty i opisy widoczne w historii rachunku.
5. Zażądaj zwrotu pieniędzy. Nie ograniczaj się do ogólnej informacji, że padłeś ofiarą oszustwa.
6. Zawiadom Policję o podejrzeniu przestępstwa i zachowaj potwierdzenie zgłoszenia.
7. Zabezpiecz dowody przed usunięciem wiadomości, SMS-ów, historii połączeń lub danych urządzenia.
8. Zastrzeż PESEL, jeżeli istnieje ryzyko wykorzystania Twoich danych do kradzieży tożsamości.
9. Zgłoś phishing lub inny incydent do CERT Polska, jeżeli oszust wykorzystał fałszywą stronę, wiadomość, link lub inne narzędzie cyberoszustwa.

Art. 44 ust. 1 nakazuje użytkownikowi niezwłocznie powiadomić dostawcę o stwierdzonych nieautoryzowanych, niewykonanych lub nienależycie wykonanych transakcjach. Termin 13 miesięcy jest ustawowym terminem granicznym, a nie okresem, przez który warto zwlekać ze zgłoszeniem.

Przy rachunku płatniczym termin ten liczy się od dnia obciążenia rachunku albo od dnia, w którym transakcja miała być wykonana. Jeżeli użytkownik nie korzysta z rachunku płatniczego, stosuje się zasady z art. 44 ust. 3. Ograniczenia 13-miesięcznego nie stosuje się, gdy dostawca nie udostępnił informacji o transakcji zgodnie z przepisami działu II ustawy.

Jakie dowody zabezpieczyć?

• potwierdzenie zgłoszenia do banku wraz z datą i godziną,
• numer reklamacji, zgłoszenia lub rozmowy,
• historię połączeń z oszustem,
• SMS-y, wiadomości e-mail oraz rozmowy w komunikatorach,
• treść powiadomień push i komunikatów widocznych podczas wykonywania operacji,
• adres fałszywej strony albo wiadomość zawierającą link,
• potwierdzenia transakcji,
• informacje o nowych urządzeniach zarejestrowanych w bankowości, jeżeli są dostępne,
• potwierdzenie zawiadomienia Policji,
• informacje o zainstalowanym programie do zdalnego dostępu, jeżeli był używany podczas oszustwa.

Na czym polega zasada D+1 i kiedy bank ma obowiązek zwrócić pieniądze?

W przypadku nieautoryzowanej transakcji bank co do zasady zwraca jej kwotę niezwłocznie, nie później niż do końca następnego dnia roboczego po jej stwierdzeniu albo po otrzymaniu stosownego zgłoszenia.

Jeżeli płatnik korzysta z rachunku płatniczego, dostawca powinien również przywrócić rachunek do stanu, jaki istniałby, gdyby nieautoryzowana transakcja nie nastąpiła. Data waluty uznania rachunku nie może być późniejsza od daty wcześniejszego obciążenia.

Zawiadomienie Policji przez poszkodowanego jest istotne dowodowo i pomaga w ściganiu sprawcy, ale ustawa nie ustanawia zgłoszenia przez klienta na Policję jako warunku samego obowiązku zwrotu w D+1. Czym innym jest obowiązek banku pisemnego poinformowania organów ścigania, gdy bank korzysta z wyjątku dotyczącego uzasadnionego i należycie udokumentowanego podejrzenia oszustwa.

Kiedy kod SMS lub BLIK nie oznacza automatycznie rażącego niedbalstwa?

Samo wpisanie lub przekazanie kodu SMS, kodu BLIK albo innych danych uwierzytelniających nie przesądza automatycznie ani o autoryzacji konkretnej transakcji, ani o rażącym niedbalstwie.

Art. 45 ust. 2 wymaga czegoś więcej niż wskazania, że system zarejestrował użycie instrumentu płatniczego. Znaczenie ma rzeczywisty przebieg zdarzenia: jakie informacje przekazywał oszust, co widział płatnik podczas wykonywania czynności, czego według swojego przekonania dotyczyła dana operacja oraz jakie dowody posiada dostawca.

Co jest badane przy zarzucie rażącego niedbalstwa?

• czy doszło do naruszenia obowiązków określonych w art. 42,
• jak poważne było odstępstwo od wymaganej staranności,
• czy zachowanie płatnika pozostawało w związku z powstaniem nieautoryzowanej transakcji,
• czy płatnik działał świadomie, czy został wprowadzony w błąd,
• co wynika z komunikatów bankowych, zapisów systemowych i całego przebiegu operacji.

Kiedy klient nie odpowiada za transakcje wykonane po zgłoszeniu?

Po dokonaniu zgłoszenia zgodnie z art. 42 ust. 1 pkt 2 płatnik nie odpowiada za późniejsze nieautoryzowane transakcje płatnicze, chyba że sam doprowadził do nich umyślnie.

Co zmienia brak silnego uwierzytelnienia klienta?

Jeżeli dostawca płatnika nie wymagał silnego uwierzytelniania użytkownika, płatnik nie ponosi odpowiedzialności za nieautoryzowane transakcje płatnicze, chyba że działał umyślnie. Taką zasadę przewiduje art. 46 ust. 4a.

Ustawa chroni płatnika również wtedy, gdy dostawca wbrew obowiązkowi nie zapewnił środków umożliwiających dokonanie w każdym czasie zgłoszenia utraty, kradzieży, przywłaszczenia lub nieuprawnionego użycia instrumentu płatniczego. Wyjątkiem pozostaje umyślne doprowadzenie przez płatnika do nieautoryzowanej transakcji.

Czy klient zawsze odpowiada do równowartości 50 euro?

Nie. Limit równowartości 50 euro nie jest automatycznym udziałem własnym przy każdej nieautoryzowanej transakcji.

Zgodnie z art. 46 ust. 2 płatnik odpowiada do równowartości 50 euro, ustalonej według średniego kursu NBP obowiązującego w dniu wykonania transakcji, gdy nieautoryzowana transakcja jest skutkiem posłużenia się utraconym albo skradzionym instrumentem płatniczym lub przywłaszczenia instrumentu płatniczego.

Art. 46 ust. 2a przewiduje jednak wyjątki. Ograniczonej odpowiedzialności do 50 euro nie stosuje się m.in. wtedy, gdy płatnik nie miał możliwości stwierdzenia utraty, kradzieży lub przywłaszczenia instrumentu przed wykonaniem transakcji, chyba że działał umyślnie. Wyjątek dotyczy również wskazanego w ustawie przypadku, gdy utrata instrumentu przed transakcją została spowodowana działaniem lub zaniechaniem pracownika, agenta lub oddziału dostawcy płatnika albo określonego podmiotu świadczącego usługi na jego rzecz.

Co zrobić, gdy oszust zaciągnął na Twoje dane pożyczkę lub kredyt?

Wyłudzony kredyt lub pożyczka nie są tym samym problemem prawnym co nieautoryzowana transakcja płatnicza. Zasada D+1 nie ma automatycznego zastosowania do sporu o samo zawarcie umowy kredytu lub pożyczki.

Przy kradzieży tożsamości trzeba oddzielić kwestionowanie umowy zawartej bez wiedzy osoby, której dane wykorzystano, od ewentualnych późniejszych transakcji płatniczych. Każde zdarzenie może wymagać odrębnej podstawy prawnej i osobnego zgłoszenia.

1. Powiadom bank lub pożyczkodawcę, że kwestionujesz zawarcie umowy i nie składałeś danego wniosku.
2. Zawiadom Policję o podejrzeniu wykorzystania Twoich danych do przestępstwa.
3. Zastrzeż PESEL za pośrednictwem usługi publicznej lub w urzędzie.
4. Sprawdź historię weryfikacji numeru PESEL i ustal, kto, kiedy oraz z jakiego powodu sprawdzał jego status, jeżeli dane te są dostępne dla danej czynności.
5. Sprawdź informacje kredytowe dotyczące swojej osoby i zidentyfikuj obce zobowiązania lub zapytania.
6. Jeżeli wykorzystano dane dowodu osobistego – skorzystaj z procedury zgłoszenia nieuprawnionego wykorzystania danych osobowych i kradzieży tożsamości.

Jak napisać i złożyć skuteczną reklamację nieautoryzowanej transakcji?

Reklamacja powinna identyfikować kwestionowane transakcje, jednoznacznie wskazywać brak zgody na ich wykonanie, przedstawiać rzeczywisty przebieg zdarzenia i zawierać żądanie zwrotu pieniędzy.

Jak można złożyć reklamację od 13 lutego 2026 r.?

Od 13 lutego 2026 r. podmioty rynku finansowego są zobowiązane do przyjmowania reklamacji również w formie elektronicznej. Reklamację można więc złożyć m.in. pocztą elektroniczną lub przez formularz elektroniczny udostępniony przez dany podmiot, obok innych przewidzianych prawem sposobów składania reklamacji.

Przy składaniu reklamacji elektronicznej warto korzystać z kanału wskazanego przez bank i zachować potwierdzenie jej wysłania lub przyjęcia.

Ile czasu ma bank na odpowiedź?

W przypadku reklamacji dotyczącej praw i obowiązków wynikających z ustawy o usługach płatniczych dostawca udziela odpowiedzi w terminie 15 dni roboczych od dnia otrzymania reklamacji.

W szczególnie skomplikowanym przypadku dostawca powinien wyjaśnić przyczynę opóźnienia, wskazać okoliczności wymagające ustalenia i określić przewidywany termin odpowiedzi. Termin ten nie może przekroczyć 35 dni roboczych od dnia otrzymania reklamacji.

Czego oczekiwać od banku, gdy odmawia zwrotu?

• wskazania, w jaki sposób bank ustalił, że płatnik wyraził zgodę na konkretną transakcję,
• wskazania dowodów potwierdzających autoryzację,
• wyjaśnienia, czy stanowisko opiera się na autoryzacji, technicznym uwierzytelnieniu, umyślnym działaniu czy rażącym niedbalstwie,
• wskazania obowiązku z art. 42, który według banku został naruszony, jeżeli bank powołuje się na odpowiedzialność płatnika,
• przedstawienia okoliczności i dowodów uzasadniających zarzut rażącego niedbalstwa,
• wyjaśnienia podstawy niewykonania zwrotu w D+1, jeżeli środki nie zostały zwrócone.

Co zrobić, gdy bank odrzuci reklamację albo nie zwróci pieniędzy w D+1?

Po odmowie sprawdź nie tylko końcowy wynik reklamacji, lecz także faktyczną, prawną i dowodową podstawę stanowiska banku.

Zwróć uwagę, czy bank prawidłowo rozdzielił autoryzację od uwierzytelnienia, odniósł się do ciężaru dowodu wynikającego z art. 45, wykazał przesłanki ewentualnej odpowiedzialności płatnika oraz osobno wyjaśnił kwestię zwrotu w D+1.

Jakie są dalsze możliwości działania?

1. Przeanalizuj odpowiedź banku i ustal, czy odnosi się do wszystkich zarzutów i dowodów.
2. Zachowaj pełną dokumentację postępowania reklamacyjnego, w tym potwierdzenie złożenia reklamacji i odpowiedź banku.
3. Po wyczerpaniu procedury reklamacyjnej rozważ zwrócenie się do Rzecznika Finansowego – zależnie od sytuacji możliwe jest m.in. postępowanie interwencyjne lub pozasądowe postępowanie w sprawie rozwiązywania sporu.
4. Jeżeli spór pozostanie nierozwiązany, roszczenia można dochodzić przed sądem.

Przy wysokiej wartości sporu, niejednoznacznym przebiegu oszustwa albo rozbudowanym materiale dowodowym warto rozważyć indywidualną analizę prawną dokumentów.

Dlaczego zwrot w D+1 nie kończy sporu o odpowiedzialność klienta?

Obowiązek szybkiego zwrotu pieniędzy i ostateczna odpowiedzialność płatnika za stratę to dwa odrębne zagadnienia.

Art. 46 ust. 3 przewiduje pełną odpowiedzialność płatnika za nieautoryzowane transakcje, jeżeli doprowadził do nich umyślnie albo doszło do nich w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia co najmniej jednego z obowiązków wskazanych w art. 42.

Jeżeli bank wcześniej zwrócił środki zgodnie z art. 46 ust. 1, nie przesądza to jeszcze o ostatecznej odpowiedzialności za stratę. Jeżeli bank uważa, że płatnik odpowiada na podstawie art. 46, musi wykazać odpowiednie przesłanki i może dochodzić swojego roszczenia zgodnie z prawem.

Czy bank może dochodzić pieniędzy po wcześniejszym zwrocie w D+1?

Sam zwrot dokonany w D+1 nie oznacza, że bank definitywnie uznał swoją odpowiedzialność za stratę. Jeżeli po dalszym wyjaśnieniu sprawy bank uważa, że zachodzą ustawowe przesłanki odpowiedzialności płatnika, może dochodzić odpowiedniego roszczenia zgodnie z prawem. Nie oznacza to jednak, że samo wcześniejsze wykonanie technicznie prawidłowej transakcji lub użycie danych uwierzytelniających wystarcza do przypisania odpowiedzialności klientowi.

Jak zabezpieczyć konto przed ponownym przejęciem dostępu?

Po oszustwie zabezpiecz wszystkie usługi i dane, które przestępca mógł przejąć lub wykorzystać: bankowość, telefon, pocztę elektroniczną, kartę, dokument tożsamości i numer PESEL.

• Bankowość elektroniczna – zmień dane dostępowe i sprawdź aktywne urządzenia lub sesje, jeżeli bank udostępnia taką funkcję.
• Poczta elektroniczna – zmień hasło, sprawdź metody odzyskiwania dostępu, aktywne sesje oraz reguły przekazywania wiadomości.
• Telefon – sprawdź aplikacje i ich uprawnienia, szczególnie gdy instalowałeś oprogramowanie na polecenie oszusta.
• Karta – zastrzeż ją, jeżeli jej dane zostały ujawnione albo pojawiły się obce płatności.
• Limity – ustaw limity przelewów, wypłat i płatności internetowych na poziomie odpowiadającym rzeczywistym potrzebom.
• Powiadomienia – włącz informacje o logowaniach i operacjach, jeżeli bank je udostępnia.
• PESEL – korzystaj z możliwości zastrzeżenia numeru, gdy nie potrzebujesz czasowo cofnąć zastrzeżenia w związku z konkretną czynnością.
• Phishing i cyberoszustwo – podejrzaną stronę lub inny incydent możesz zgłosić do CERT Polska przez oficjalny formularz, a podejrzany SMS zawierający link przekazać na numer 8080.

Jak ustalić, czy transakcja była nieautoryzowana?

Najważniejsze jest ustalenie, czy płatnik wyraził zgodę na wykonanie konkretnej transakcji. Nie każda strata spowodowana oszustwem jest automatycznie nieautoryzowaną transakcją płatniczą w rozumieniu ustawy.

Drzewo decyzji po wykryciu obciążenia rachunku

1. Czy rozpoznajesz operację? Sprawdź subskrypcje, płatności cykliczne, zlecenia stałe i polecenia zapłaty.
2. Czy wyraziłeś zgodę na tę konkretną transakcję? Jeżeli nie, zgłoś ją bankowi jako nieautoryzowaną.
3. Czy ktoś przejął kartę, urządzenie albo dane? Zablokuj dalszy dostęp.
4. Zgłoś transakcję bankowi i zażądaj zwrotu.
5. Sprawdź termin D+1.
6. Jeżeli bank odmawia – ustal faktyczną i prawną podstawę odmowy.
7. Sprawdź, czy bank wykazał autoryzację, czy jedynie techniczne uwierzytelnienie.
8. Jeżeli bank zarzuca rażące niedbalstwo – sprawdź, jakie okoliczności i dowody przedstawił.
9. Kontroluj termin 15 albo maksymalnie 35 dni roboczych na odpowiedź reklamacyjną.
10. Po wyczerpaniu reklamacji rozważ pomoc Rzecznika Finansowego lub dochodzenie roszczeń przed sądem.

Słowniczek pojęć

FAQ: nieautoryzowana transakcja w banku

Powrót na górę